Skip to main content
KAIZER ONION

Year: 2010

Docking pour disque dur

Written by Franck Wurtz on . Posted in Domotique. No Comments on Docking pour disque dur

Avez vous également était confronté ce cas de figure, lorsque quelqu’un vous ramène un disque dur et vous demande de lui récupérer ses données ? C’est toujours ennuyant de devoir démonter la moitié de votre PC ou de son boîtier externe de disque dur …
Il existe une solution beaucoup plus simple et rapide, c’est d’utiliser la docking pour disque dur proposé par Storage Depot. Ce produit a été réalisé dans le but d’accéder à  vos données, enregistrées sur vos disques durs, de la manière la plus simple.

Je possède la version USB SATA (Storage Depot SI-7908) qui est vraiment très simple d’utilisation, vous connectez la docking en câble USB à  votre ordinateur, puis vous insérez le disque dur dans la docking et le tour est joué. Votre disque dur est monté par votre système d’exploitation comme une clé USB.

Petit inconvénient (je trouve), c’est que la docking nécessite une alimentation secteur, j’aurais préférais une auto-alimentation par le port USB comme on peut le voir sur certains boîtiers externes.

L’avantage, par contre, ce que la docking accepte autant les disques durs 3.5″ que les 2.5″ SATA. Il existe un modèle différent pour les disques IDE. La base de la docking étant assez large, elle permet d’obtenir une grande stabilité une fois le disque dur inséré. Vous n’aurez pas à  avoir le stress d’une éventuelle chute de votre disque dur. Un seul voyant est utilisé pour vous informer lorsque votre disque est connecté (couleur bleu) et qu’il est en activité (couleur rouge).

Cette docking est un outil précieux pour quiconque qui a besoin d’un accès facile à  ces diques durs SATA de rechange, que ce soit du 2.5″ ou du 3.5″.

Pour rappel, prenez vos précautions contre l’électricité statique lorsque vous manipulez vos disques durs.

Changement d’hébergement

Written by Franck Wurtz on . Posted in Internet, Tech & Gadgets. 2 Comments on Changement d’hébergement

Voilà , ça c’est fait √. Après de longs mois de réflexion, et surtout à  quelques jours de l’expiration de mon contrat, je me suis finalement décidé à  changer de type d’hébergement pour mon blog. Jusqu’à  présent, j’utilisais l’offre mutualisé illimité de online.net. L’offre comprends un nom de domaine et un hébergement de 10Go pour un trafic illimité. Bien que l’offre soit intéressante, le fait que le serveur soit mutualisé impacte sérieusement les performances de distribution. En effet, si par malheur chance deux ou trois personnes se connectés en simultané, l’impact était direct, le site devenait indisponible. C’est ce qui ma motivé à  franchir le pas, de plus, mon offre arrivait à  expiration donc c’était le bon créneau. Pour info, voici un récapitulatif des trois offres proposé par Online en ce qui concerne les serveurs mutualisés.

Content du service et support fournit par Online (très bon support), je me suis naturellement tourné vers leur offre de serveur dédié afin de prendre mon envol pour la liberté. Résultat des courses, j’ai un serveur ubuntu 10.04 à  jour sécurisé par mes soins, et surtout un gain indiscutable de performance. Depuis hier, mon serveur dédié est complétement opérationnel et je pense que vous avez remarqué la différence. Concernant l’offre, j’ai choisi la dedibox V3 qui offre un processeur Nano de 1.6Ghz pour 2 Go de RAM et 160 Go de disque. Le plus important, c’est que le serveur a une connexion giga.

Ce changement va me permettre de développer de nouveau projet que j’avais en tête depuis quelques temps, je ne vous en dit pas plus pour le moment, mais restez connecté car ca va bouger.

Je serais fortement intéressé par vos retour d’expérience concernant les performances du blog. à‰galement si vous rencontrez des difficultés d’affichage ou autre, n’hésitez pas de laisser un commentaire ou de me contacter par mail.

Hakuna Matata

Written by Franck Wurtz on . Posted in Life, Vacances. 5 Comments on Hakuna Matata

Pour ceux qui me suivent sur Twitter ce n’est pas une surprise, pour les autres, je vais essayer de vous emmener au pays du roi lion à  travers le récit de notre voyage de noces. Ce voyage aura été sans aucun doute notre périple le plus dépaysant. Bien entendu quelques préparatifs s’imposaient. Nous avons commencé par faire une petite visite à  l’hôpital Legouest afin de se mettre à  jour avec les différents vaccins (Fièvre jaune, Hépatite A).  Contrainte supplémentaire : un traitement contre le paludisme pendant toute la durée du séjour et sept jours après. Ensuite, c’est bien beau d’aller faire un safari mais si on a rien pour prendre des photos c’est pas terrible. Par chance, on nous avait prêté un zoom optique canon 70-200 F4 L USM monté sur mon boîtier EOS 350D et également une paire de jumelle 9×50 qui s’est avérée très utile. Mais comparé à  certains on était très peu équipé …

Continue reading

Les failles XSS de la brise à  l’Ouragan

Written by Franck Wurtz on . Posted in Exploit, Sécurité, Tech & Gadgets. No Comments on Les failles XSS de la brise à  l’Ouragan

Parfois anodine et peu connu des internautes, ces failles permettent bien souvent d’accéder à  des données personnels de l’utilisateur dans des scenario aboutis. Pour autant cette vulnérabilité n’est pas récente, c’est là  que le paradoxe prends son sens.

Mais qu’est ce que le XSS ?
Le XSS, de l’anglais cross site scripting, consiste à  injecter et faire interpréter ou mieux, faire exécuter du code non attendu à  un navigateur web. De cette définition, on peut en déduire que l’attaque ne se situe pas du côté du serveur mais plus plutôt du côté client, en d’autres termes une action du client final est nécessaire. Donc nous avons un aspect ingénierie sociale. De plus, ce genre d’attaque ne se limite pas à  un langage. Tout langage reconnu par votre navigateur peut être exploité. C’est pourquoi les failles XSS sont souvent basées sur de l’HTML et du Javascript. Pour finir la première partie de sensibilisation, la vulnérabilité XSS figurait à  la première place du top ten de l’OWASP en 2007. En 2010 il occupe la seconde place.

Prenons un exemple concret, vous recevez un mail de votre banque qui vous indique que de nouveaux documents sont disponibles à  partir de votre compte et ils vous donnent un lien pour accéder aux ressources. En tant qu’utilisateur vous ne fait pas attention à  l’url caché derrière le nom du lien et vous cliquez pour accéder à  vos documents. A ce moment précis le mal est fait ! Vous ne vous êtes rendu compte de rien du tout mais votre requête à  été intercepté par un autre site qui a volé vos identifiant de votre banque. Vous n’avez rien remarqué car vous avez été redirigé. Ce scenario semble sortir tout droit d’un James Bond, malheureusement, il est bien plus probable qu’un des scénarios de James Bond. Bien entendu, il y a quelques conditions. Ce scénario considère que le site de votre banque contient un champ vulnérable aux attaques XSS, que l’attaquant connaisse votre adresse mail, et qu’il ait un serveur distant ou il pourra stocker vos identifiants de connexion. Il est considéré également pour acquis que vos identifiants soit stockés dans un cookie. Vous me direz que cela fait beaucoup de conditions, même si la dernière est peu répandu (surtout pour un site bancaire) les autres conditions sont facilement réalisables.

Voici une schématisation du scénario énoncé.

Alors comment fonctionne concrètement cross site scripting, et bien la syntaxe la plus connue est l’exécution dans un champ non validé du code suivant :

Il a pour but une fois interprété par votre navigateur, d’afficher la pop up suivante :

C’est exemple est souvent utilisé comme PoC (Proof of Concept). Mais il existe beaucoup plus de combinaison possible. Ce billet n’a pas pour vocation de faire une liste exhaustive des éléments à  parser dans vos champs. Il existe de très bonnes sources si vous cherchez ce genre d’information, comme par exemple le site ha.ckers.org. Cependant il faut comprendre que ce genre d’attaque est bien plus dangereuse pour l’utilisateur final que pour les serveurs. Grâce à  l’utilisation de champ ou de paramètre non validé, il est possible également de ré-écrire une page web (via l’API DOM). Je vous invite à  lire l’article de Pierre Gardenat qui a été publié récemment dans le magazine français MISC (édition Mai/Juin 2010). L’article est très bien détaillé. Je me suis permis de reprendre son titre que j’aime beaucoup. J’espère qu’il ne m’en voudra pas.

—
source
Pierre Gardenat – XSS : de la brise à  l’ouragan

iPhone IOS 4.0 les nouveautés

Written by Franck Wurtz on . Posted in Tech & Gadgets. No Comments on iPhone IOS 4.0 les nouveautés

Quelques jours après sa sortie officiel, et surtout depuis que mon site est à  nouveau disponible, je vous livre mes impressions concernant le nouveau IOS 4.0 d’Apple. Pour commencer, la mise à  jour s’est passé particulièrement bien (de 3.1.3 vers 4.0). Toute fois je n’ai pas encore jailbreaké la nouvelle version de mon iPhone même si cela est possible depuis plus d’un mois (eh oui ils ont jailbreaké la nouvelle version d’Apple avant sa sortie). Pour ceux qui désire jailbreaké leur iPhone avec l’IOS 4.0 vous pouvez utiliser redsnow 0.9.5 qui fonctionne très bien. Une bonne nouvelle pour les possesseurs d’iPhone 3G ils pourront également bénéficier de la fonction multitâche après le jailbreak.
Justement revenons à  l’origine de ce billet, mes impressions sur les nouvelles fonctionnalités de l’IOS 4.0. Le gros changement est bien entendu l’utilisation multi tâche qui permet maintenant de basculer d’une appli à  une autre sans perdre le cours de celle-ci. On peut également soulager les ressources de l’iPhone en fermant les applications non utilisées. Il suffit d’appuyer deux fois sur le bouton home pour obtenir le menu multi tâche. Si vous désirez fermer une application, restez appuyé quelques secondes sur l’icône de l’application pour pouvoir la fermer.

Multi tâche d'apple
Multitask IOS 4

Autre grande nouveauté, la possibilité de classer ses applications par thème dans des dossiers. Fini d’avoir 5 ou 6 pages d’applications. Maintenant vous pouvez facilement regrouper toutes vos applications favoris en un même repertoire. Pour ce faire, rien de plus de simple il suffit de rester sur l’application choisie quelques secondes puis de la déplacer sur une autre application pour créer un repertoire. C’est quand même bien plus pratique et surtout plus propre. Une amélioration appréciable si vous testez beaucoup d’applications.

Sur la liste des nouvelles fonctionnalités, j’ai noté la présence d’un zoom numérique qui a pour avantage d’être présent, malheureusement c’est l’unique point positif que je lui ai trouvé. Cela reste un zoom numérique avec un qualité médiocre. Peut être que sur l’iPhone 5 il y aura un véritable zoom optique ou pas …

Petit détail également, sur l’iPod maintenant la présentation de vos albums a un peu été modifié. Vous obtiendrez des informations supplémentaires comme la date de sortie, ou la durée de la chanson. C’est aussi plus agréable à  lire du fait de l’alternance de couleur (même pour un daltonien comme moi).

Côté performance, sur un iPhone 3GS il n’y a pas de souci par contre sur un 3G je vous déconseille de l’installer. Optez plutôt pour un iPhone 4G. D’ailleurs c’est promis, dès que j’ai le mien je poste une photo.
Et vous, vous l’avez trouvé comment ?

Keylogger matériel – une sérieuse menace

Written by Franck Wurtz on . Posted in Sécurité, Tech & Gadgets. No Comments on Keylogger matériel – une sérieuse menace

A chaque fois que je fais une démonstration en sortant mes keyloggers, les gens sont toujours étonnés. Malheureusement, c’est la dure réalité de la vie, les keyloggers sont une véritable menace pour les sociétés et les individus. Leur unique but est d’enregistrer toutes les touches saisies sur le clavier par l’utilisateur et de les rendre disponible à  l’attaquant.

Il existe deux classes de keylogger, les versions matérielles et logicielles. La version matérielle est vraiment très simple à  mettre en place. On peut imaginer différents scenarios, il suffit d’avoir accès physiquement à  la machine pendant quelques secondes. Vous allez me dire que cela  fonctionne uniquement avec les versions filaires, mais malheureusement non ! Il existe aussi des versions de keylogger capable d’intercepter les informations envoyées en bluetooth. Il est difficile pour un utilisateur de remarquer ce genre d’intervention.

La version logiciel

Souvent les fonctionnalités offerte par ce genre de keylogger sont plus diversifiées car ils permettent d’une part d’obtenir tout ce  que vous tapez sur votre clavier mais également de savoir quels logiciels vous utilisez. De plus, ils permettent de capturer vos flux audio et vidéo. L’inconvénient de ce genre de keylogger c’est qu’il commence à  enregistrer seulement une fois votre système d’exploitation démarré. Ce qui vous empêche d’obtenir les mots de passe BIOS, ou encore les mots de passe d’encryption de disque dur. Ce genre de keylogger est facilement détectable si vous avez un antivirus digne de ce nom. Pour information les force jaune, force bleu et force rouge détectent facilement ce genre de logiciel (à  comprendre Symantec, Checkpoint et McAfee).

La version matériel

Cela ressemble la plus part du temps à  un clé USB, cela se branche entre votre clavier et votre ordinateur. Il existe des modèles PS2 et USB. La marque la plus reconnu dans le domaine est Key Ghost. Personnellement, j’ai la version KeyGhost SX 512 Ko et KeyGhost USB. Ce qu’il faut savoir, c’est qu’il n’existe actuellement aucun logiciel de sécurité capable de faire de la prévention de keylogger sur le port PS2. Donc si vous utilisez encore des claviers PS2 je vous conseille vivement de changer de clavier. En ce qui concerne les claviers USB, lorsque vous le connectez, votre clavier fait une entrée dans votre base de registre avec un HID qui est propre à  votre clavier. Si maintenant vous connectez un hub USB et ensuite votre clavier, vous allez voir que cette valeur va changer. C’est précisement sur ce paramètre que les logiciels de sécurité se basent afin de faire la prévention. Vous comprendrez que ce système à  ces limitations car si vous changez de clavier, le logiciel va penser que vous avez un keylogger de connecté. Cependant la manière de faire la plus sûre. Vous aurez compris que ce genre de keylogger a un grand avantage (ou inconvénient tout dépend comment l’on se place) car ils permettent de capturer à  n’importe quel moment les touches saisies sur votre clavier. Et ceci indépendamment de votre système d’exploitation. Il existe également des keyloggers matérielles pour les ordinateurs portables, allez jeter un coup d’oeil sur le site web de www.keycarbon.com, c’est assez impressionnant.

Avec l’arrivée en masse des claviers bluetooth, il était normal de voir débarquer les keyloggers bluetooth. Avec ce genre de keylogger vous êtes capable de capturer des informations jusqu’à  300 mètres de distance. A ce sujet j’ai assisté à  une présentation de ce genre d’attaque pendant la conférence DeepSec à  Vienne. L’équipe remote-exploit nous présenté leur projet KeyKeriki. Pour rappel, il nous montré avec quel facilité ils étaient capable d’envoyer des informations à  un récepteur bluetooth de marque Microsoft.

—
Sources

http://www.keycarbon.com
http://www.keyghost.com
http://www.wirelesskeylogger.com
http://en.wikipedia.org/wiki/Keystroke_logging
http://www.remote-exploit.org/?page_id=187

Earth Hour 2010

Written by Franck Wurtz on . Posted in Life. 1 Comment on Earth Hour 2010

Ce week end se déroulera l’édition 2010 de Earth Hour. Pour rappel, ce mouvement, créé en 2007 par les associations écologistes de l’Alliance pour la Planète, a réussi à  mobiliser plus de trois millions de foyers en France. Les villes dans le monde éteignent leurs monuments les plus emblématiques (la tour Effeil, le golden bridge à  San Francisco, le collisée à  Rome, etc …). Au total on dénombre 35 pays qui ont joué le jeu et ainsi transformant cet évènement en un symbole de l’engagement de tous contre le péril climatique.
L’année précèdente, j’avais déjà  écrit un billet sur le sujet, malheureusement j’avais été assez déçu de constater que la commune de Thionville n’avait pas participé à  l’évènement. Il semblerait que cette année Thionville soit de la partie, à  en croire leur site web.
Alors je vous invite tous à  jouer le jeu Samedi 27 Mars 2010 à  20h30. Eteignez vos lumières … Et ne vous inquiétez pas pour le courant d’appel que cela va générer lorsque tout le monde va rallumer la lumière. Au pire vous resterez quelques minutes de plus dans le noir, mais au moins vous aurez fait un geste pour votre planète 😉

Retrouvez toutes les vidéos de l’évènement sur http://earthhour.panda.org

Comment récupérer l’unique ID de son iPhone (UDID)

Written by Franck Wurtz on . Posted in Tech & Gadgets. No Comments on Comment récupérer l’unique ID de son iPhone (UDID)

Le mois de Février n’aura pas été très productif pour kaizeronion, petite baisse de régime, un peu moins de motivation et rien de spécial à  raconter. Un passage à  vide en gros … Donc pour remédier à  ce problème voici un petit billet qui explique comment récupérer l’unique ID de son iPhone ou iPod Touch.

Qu’est ce que l’UDID (Unique Device Identifier) ?

Chaque iPhone ou iPod Touch a un numéro unique appelé Unique Device Identifier (UDID), qui correspond à  une séquence de 40 lettres et de chiffres propre à  votre appareil. C’est comme un numéro de série mais beaucoup plus difficile à  deviner. Il doit ressembler à  quelque chose comme ceci: 2b6f0cc604d137be2e1735f545ef5664094b8311

Comment l’obtenir ?

Il existe deux solutions, la première est d’utiliser l’application Ad Hoc Helper d’Eric Sadun qui permet d’envoyer par mail l’UDID vers le destinataire de votre choix. La seconde option est d’utiliser iTunes.

Copier/Coller depuis iTunes

1. Lancez iTunes et connectez votre iPhone

2. Dans le volet droit, localisez les informations sur votre iPhone, comme le nom, la capacité, la version du logiciel ainsi que le numéro de série.

3. Afin d’obtenir votre UDID il ne vous reste plus qu’à  cliquer sur le numéro de série de votre iPhone

4. Vous pouvez copier coller votre UDID avec votre raccourci habituel “CMD + C”

Voilà  un billet qui n’a pas beaucoup d’utilité, mais il a le mérite d’exister. Pour info le numéro UDID peut être intéressant si vous devez vous connecter sur des applications web filtrés.

Important notice: Google Apps browser support

Written by Franck Wurtz on . Posted in Internet, Tech & Gadgets. No Comments on Important notice: Google Apps browser support

Vous êtes nombreux à  avoir récemment reçu un mail de la part de Google concernant le support des différents navigateurs web pour les services proposés par Google. Rassurez vous, ce n’est pas du spam …

Avec ce mail, Google fait avancer l’Internet vers un web meilleur, en “forçant” ses utilisateurs à  utiliser les dernières version majeures des navigateurs web les plus connus comme FireFox, Internet Explorer, Chrome et Safari.

Pourquoi un web meilleur, tout simplement car ces navigateurs sont compatibles avec HTML 5 et du coup, ils gèrent de nouvelles balises HTML qui permettent techniquement d’effectuer des effets graphique dont le rendu visuel est beaucoup plus sympa. D’autre part, cela permet indirectement d’augmenter la sécurité des utilisateurs car cette campagne d’information va inciter les utilisateurs à  mettre à  jour la version de leur navigateur web préféré. Comme d’habitude, Google fait d’une pierre de coup avec ce mail, car ils allègent leurs charges de travail en supprimant au 1er Mars le support des anciennes version de navigateurs web mais ils incitent également les utilisateurs à  mettre à  jour leur navigateur Web, le tout bientendu en faisant la pub de leur propre navigateur (Chrome).

Donc si vous avez reçu ce mail ci-dessous, c’est que vous avez un compte Google, et par conséquent vous avez jusqu’au 1 Mars 2010 pour mettre à  jour votre navigateur web pour ainsi bénéficier de tous les services de Google (Gmail, Reader, Calendar, etc …) en toute sérénité.

Voici une petite liste des dernières version disponibles pour les navigateurs les plus connus avec le lien de téléchargement en anglais (EN) et en français (FR) :

  • Firefox 3.6 EN FR
  • Chrome 5.0.307 EN FR
  • Safari 4.0 EN FR
  • Internet Explorer 8.0 EN FR

Dear Google Apps admin,

In order to continue to improve our products and deliver more sophisticated features and performance, we are harnessing some of the latest improvements in web browser technology. This includes faster JavaScript processing and new standards like HTML5. As a result, over the course of 2010, we will be phasing out support for Microsoft Internet Explorer 6.0 as well as other older browsers that are not supported by their own manufacturers.

We plan to begin phasing out support of these older browsers on the Google Docs suite and the Google Sites editor on March 1, 2010. After that point, certain functionality within these applications may have higher latency and may not work correctly in these older browsers. Later in 2010, we will start to phase out support for these browsers for Google Mail and Google Calendar.

Google Apps will continue to support Internet Explorer 7.0 and above, Firefox 3.0 and above, Google Chrome 4.0 and above, and Safari 3.0 and above.

Starting this week, users on these older browsers will see a message in Google Docs and the Google Sites editor explaining this change and asking them to upgrade their browser. We will also alert you again closer to March 1 to remind you of this change.

In 2009, the Google Apps team delivered more than 100 improvements to enhance your product experience. We are aiming to beat that in 2010 and continue to deliver the best and most innovative collaboration products for businesses.

Thank you for your continued support!

Sincerely,

The Google Apps team